Reglamento de inteligencia artificial en el Perú: qué deben hacer hoy colegios, clínicas, financieras y entidades públicas

La Ley N.° 31814 promueve el uso de la inteligencia artificial en el país. Su Reglamento, aprobado por Decreto Supremo N.° 115-2025-PCM, se publicó el 9 de setiembre de 2025 y fija reglas para quienes desarrollan o usan sistemas de IA, con obligaciones que entran en vigor por etapas. La primera etapa para el sector privado llegó el 10 de setiembre de 2026 y alcanza a quienes usan IA en salud, educación, justicia, seguridad, economía y finanzas.

Si diriges un colegio o una universidad privada, una clínica o una empresa financiera, y en tu organización se usa inteligencia artificial, esta norma ya te aplica. Las demás actividades tienen plazos que llegan hasta 2029.

Tres niveles de riesgo

El Reglamento clasifica los usos de la IA según el daño que pueden causar a las personas.

Uso indebido, que está prohibido. Por ejemplo, manipular las decisiones de alguien de forma engañosa aprovechando sus vulnerabilidades, la vigilancia masiva sin base legal, deducir datos sensibles a partir de rasgos biométricos, clasificar personas con resultados discriminatorios o predecir delitos a partir de perfiles.

Riesgo alto, que está permitido con controles. La norma menciona, entre otros, la evaluación de niños y adolescentes en la admisión y el aprendizaje (salvo que la IA se use como complemento), la selección, evaluación y despido de trabajadores, la evaluación crediticia, el triaje y el diagnóstico en salud, el acceso a programas sociales y la detección de emociones en el trabajo o en las aulas.

Riesgo aceptable. Todo lo demás, como un asistente que responde preguntas frecuentes o una herramienta que resume documentos internos. Si no tienes claro en qué nivel está un sistema, la Secretaría de Gobierno y Transformación Digital de la PCM atiende consultas sobre la clasificación.

Qué deben hacer las empresas privadas

• Llevar un registro interno de cada sistema de IA que usan: cómo funciona, de dónde salen sus datos y qué impactos puede tener. El registro debe estar actualizado y disponible.
• Tener políticas de seguridad, privacidad, transparencia y rendición de cuentas sobre el uso de la IA.
• Capacitar al personal que trabaja con estos sistemas.
• Asegurar la supervisión humana en salud, educación, justicia, finanzas y acceso a servicios básicos. Una persona debe poder detener, corregir o dejar sin efecto lo que decide el sistema.

Si el sistema es de riesgo alto, además hay que informar a las personas, antes de usarlo, para qué sirve, qué hace y qué tipo de decisiones toma, y explicar el resultado en lenguaje sencillo cuando afecte sus derechos. Pensemos en un colegio que usa IA para evaluar postulantes: la familia tiene derecho a saberlo de antemano y a entender cómo se llegó al resultado.

La evaluación de impacto es voluntaria para el sector privado. Si se hace, el Reglamento pide conservarla tres años.

Lo que se pide a las entidades públicas

Para el Estado las exigencias son mayores. Cada entidad debe aprobar una política institucional de IA, aplicar la norma técnica NTP-ISO/IEC 42001:2025 cuando desarrolle sistemas, auditar su seguridad antes y durante su funcionamiento, y hacer una evaluación de impacto obligatoria antes de desarrollar o implementar un sistema de riesgo alto. El código de los sistemas financiados con fondos públicos debe publicarse con licencia libre.

Los plazos también son escalonados: un año desde la publicación para el Poder Ejecutivo, el Legislativo, el Judicial y los organismos constitucionales autónomos; dos años para EsSalud, los gobiernos regionales, las universidades públicas y las empresas públicas; y tres años para los gobiernos locales de tipo A, B y C.

El calendario para el sector privado

• Salud, educación, justicia, seguridad, economía y finanzas: desde el 10 de setiembre de 2026.
• Transporte, comercio y trabajo: desde el 10 de setiembre de 2027.
• Producción, agricultura, energía y minería: desde el 10 de setiembre de 2028.
• Las demás actividades: desde el 10 de setiembre de 2029.

Las pequeñas empresas tienen dos años y las microempresas, tres, contados desde la publicación del Reglamento. La norma no aclara qué plazo prevalece cuando una empresa pequeña trabaja en uno de los sectores de la primera etapa; en ese caso conviene revisarlo con un abogado.

¿Hay multas?

El Reglamento no tiene un régimen de sanciones propio. La Secretaría de Gobierno y Transformación Digital supervisa con un enfoque preventivo: puede pedir información y emitir alertas sobre los usos indebidos y de riesgo alto. Si quien incumple es un funcionario público, el caso se reporta a la Contraloría.

Las multas sí llegan por otro camino. Cuando un sistema de IA trata datos personales sin cumplir la Ley N.° 29733, se aplica el régimen sancionador de esa ley, a cargo de la Autoridad Nacional de Protección de Datos Personales. Las personas afectadas también pueden acudir a INDECOPI o a la división de la Policía que investiga la ciberdelincuencia, y existe un canal ciudadano en gob.pe/iaperu.

Por dónde empezar

1. Haz un inventario de los usos de IA en tu organización, incluidas las herramientas gratuitas que el personal usa por su cuenta para redactar, traducir o resumir. Suelen ser más de las que la dirección conoce.
2. Clasifica cada uso según los tres niveles de riesgo y marca los que tocan decisiones sobre personas.
3. Escribe una política de uso: qué herramientas están permitidas, qué datos no se pueden ingresar en ellas y quién valida los resultados.
4. Nombra a los responsables de supervisar cada sistema y de mantener el registro interno.
5. Capacita al personal con ejemplos de su propio trabajo, no con una charla general.
6. Revisa los datos personales que pasan por cada herramienta, porque ahí está el riesgo de sanción más concreto.

El texto completo del Reglamento está publicado en El Peruano. Esta nota lo resume en términos generales y no constituye asesoría legal: cada organización debe revisar su caso concreto.